本文的最近更新
| 日期 |
更新 |
| 2022年4月18日 |
添加了最新的 ENS AMCore 内容检测到的所有已知示例。 |
| 2022年4月7日 |
添加了相关的安全/Security 公告链接。 |
| 2022年4月4日 |
添加了 CVE-2022-22947 并更新了标题。 |
| 2022年3月31日 |
添加了 Network 安全/Security Platform （NSP）用户定义的特征码（UDS）和新的 CVE Id CVE-2022-22965 和 CVE-2022-22950。 |
| 2022年3月30日 |
初始发布内容。 |
我们正在主动跟踪多个 Spring 组件中的四个不同漏洞。Spring 是 VMware 拥有的一个 Java 框架。这些 Spring 漏洞的周围存在混乱。我们可以确认我们正在跟踪与 Spring 相关的四个漏洞，这是一个独特的漏洞。
- VMware 最近发布的第一个漏洞是 CVE-2022-22963： Spring Expression 资源访问漏洞。此漏洞位于 Spring Cloud 组件内。此漏洞被视为中等，并且漏洞利用代码的 CVSS （ 3.0 ）分数 5.4. 似乎是未经身份验证的远程代码执行（RCE）。如果确认，我们预计当前的 CVSS 分数 5.4 将进行调整。
- 第二个漏洞（更新为 CVE-2022-22965）第一次是通过 Twitter 上泄露的漏洞攻击代码来发现的。从泄漏的漏洞利用代码中，此问题似乎是由于在十年前（CVE-2010-1622）中出现了错误或部分失败的情况而导致的。它是 Spring Bean 组件中未经验证的 RCE。我们已验证泄漏漏洞攻击代码是否可在复制中正常工作。
- 第三个漏洞（CVE-2022-22950：Spring Expression DoS 漏洞）在 Spring 框架内，可能会造成拒绝服务（DOS）情况。
- 第四个漏洞（CVE-2022-22947：Spring Cloud Gateway 代码注入）在网关传动装置启用、暴露且不受保护时，位于Spring Cloud Gateway 内。此问题可能会导致远程主机上出现 RCE。
建议客户根据供应商的指导提供补丁。
Owing 这些漏洞的严重性，我们已创建了此文章，以提供客户可用于降低其环境中风险的操作的通信。
我们正在积极监控这些漏洞并研究使用我们的解决方案来抵御这些漏洞的方法。
我们还会查看我们所有的解决方案，以了解任何潜在影响。请参阅
SB10380-已注册-安全/Security 公告 - Spring 漏洞的产品状态（cve-2022-22947、cve-2022-22963、cve-2022-22965）。
注意：所引用的内容仅可供已登录的 ServicePortal 用户使用。 要查看内容，请单击该链接并在出现提示时登录。
订阅此文章以接收有关相关覆盖范围和对策的更新。
要在更新本文时收到电子邮件通知，请单击 订阅 位于页面右侧。您必须登录后才能订购。
有关详细信息，请参阅以下文章：
CVE-2022-22947：Spring Cloud Gateway 代码注入漏洞
CVE-2022-22950：Spring Expression DoS 漏洞
CVE-2022-22963: RCE in Spring Cloud Function by malicious Spring Expression CVE-2022-22965: Spring Framework RCE via Data Binding on JDK 9+
